Container Registry：使用免密組件跨帳號拉取鏡像

在A使用者帳號下操作，啟用ACK叢集的RRSA功能，並建立支援角色扮演許可權的RAM角色。

1. 為ACK叢集開啟RRSA功能。

   1. 登入Container Service管理主控台，在左側導覽列選擇叢集列表。

   2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇叢集資訊。

   3. 在基本資料頁簽的安全與審計地區，單擊RRSA OIDC右側的開啟。

   4. 在彈出的啟用RRSA對話方塊，單擊確定。

      在基本資料地區，當叢集狀態由更新中變為運行中後，表明該叢集的RRSA特性已變更完成。

   5. 叢集中RRSA功能開啟後，在基本資料頁簽的安全與審計地區，將滑鼠懸浮至RRSA OIDC右側已開啟上面，即可查看供應商的URL連結和ARN資訊。

2. 使用指令碼編輯信任策略，建立OIDC身份供應商的RAM角色。

   • 將樣本中的<oidc_issuer_url>替換為上一步擷取的當前叢集中OIDC供應商的URL。

   • 將樣本中的<oidc_provider_arn>替換為上一步擷取的當前叢集OIDC供應商的ARN。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. 為該角色添加AliyunSTSAssumeRoleAccess許可權以授予角色扮演能力，並記錄其ARN資訊。更多詳情，請參見為RAM角色授權。

   1. 在角色詳情頁面的許可權管理頁簽下，單擊新增授權。

   2. 在新增授權面板的權限原則地區，定位並選中AliyunSTSAssumeRoleAccess權限原則，然後單擊確認新增授權。

   3. 在角色詳情頁面的基本資料地區，查看並記錄該RAM角色ARN。詳細操作，請參見如何查看RAM角色的ARN？

在A使用者帳號下操作，查看叢集的Worker RAM角色並授予其角色扮演許可權。

1. 登入Container Service管理主控台，在左側導覽列選擇叢集列表。

2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇叢集資訊。

3. 在叢集資訊頁面，單擊基本資料頁簽，然後在叢集資源地區，單擊Worker RAM 角色右側連結。

4. 為該角色添加AliyunSTSAssumeRoleAccess許可權以授予角色扮演能力，並記錄其ARN資訊。更多詳情，請參見為RAM角色授權。

   1. 在角色詳情頁面的許可權管理頁簽下，單擊新增授權。

   2. 在新增授權面板的權限原則地區，定位並選中AliyunSTSAssumeRoleAccess權限原則，然後單擊確認新增授權。

   3. 在角色詳情頁面的基本資料地區，查看並記錄該RAM角色ARN。詳細操作，請參見如何查看RAM角色的ARN？

在A使用者帳號下操作，為ACK叢集安裝免密組件並修改其配置項。

1. 登入Container Service管理主控台，在左側導覽列單擊叢集列表。

2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，單擊組件管理。

3. 在組件管理頁面，單擊安全頁簽，定位到aliyun-acr-credential-helper組件並單擊安裝。在彈框中，將tokenMode選項設定為workerRole，然後單擊確定。

   

4. 修改免密組件的ConfigMap配置項。

   1. 在左側導覽列，選擇組態管理 > 配置項。

   2. 在配置項頁面頂部的命名空間下拉式清單，選擇kube-system，然後單擊acr-configuration操作列下的YAML 編輯，參考下列樣本修改配置。

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email:"c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR企業版執行個體ID。
              regionId: "cn-hangzhou"                                  # ACR企業版地區ID。
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR企業版訪問網域名稱。
              assumeRoleARN: "<B使用者帳號建立角色的ARN>"
              expireDuration: 3600                                     # B使用者下，為RAM角色設定最大會話時間，預設值為3600。